米政府高官は、海外の敵対者がここ数カ月の間に、電気／水／化学のプラントを操作するコンピュータ―システムを調べているとし、破壊的なサイバー攻撃に対する懸念が高まっていると語ったという。
いわゆるサイバーテロである。
航空機や宇宙船、列車や高速道路、そして電気・ガス・水道などのインフラ。
さらには世界中の工場で動いているコンピュータ制御の機械。
そうしたものに危険が迫っているという。
理由は"効率化"である。
CPUや各種のチップセット。
そしてそれを管理するOS。
実際、経済産業省の2008年度の調査では、工作機械や半導体製造装置、各種産業機械などの製造装置を対象とする制御システムにおいて、全体の7割弱がUSBの取り付け口を、6割強がEthernetの接続ポートを備えている。さらに8割強がOSにWindows系を、2割弱がUNIX系を採用していることが明らかになっている。
つまり、こうした汎用OSの弱点を研究すれば、非常に広い範囲のユーザーに対してサイバー攻撃を行うことが可能になる。
現に銀行のATMやコンビニの多機能端末などもこうした汎用OSを使用しており、一旦標的になって穴が空いたら、先の「日常のインフラ系」と同様、我われの生活にも大きな不安と混乱をもたらすだろう。
ちょくちょく、そうした被害の話もリアルに耳に入って来るが、恐らくは氷山の一角であり、実際はかなりの脅威がすでにあるのだろうと予想する。
こうした脅威への対策だが、その原因を考えれば考えるほど「原点に立ち返る」という発想が必要に思えてくる。
つまり、OSの上で暴れたり、またOSの穴を攻撃してくる相手に、同レベルで対抗するのは「数の論理」であり、それが世界中から膨大な匿名ユーザーからもたらされる場合には、いかに準備しても勝ち目がない。
その「住む世界」をもう一層深くしてOSと同レベルではないポジションからの監視をしていかねば、今のサイバー攻撃と防御とは結局堂々めぐりにしかならないだろう。
この辺りの現象はビジネスの世界の競争にも似ていて、「ユニークなビジネスモデル」を発想した企業は先行優位を持つけれど、いつしか同様の技術に追い付かれる。
長く優位を持ち続けるには、やはり技術革新が必要なのである。
今、そうした対策を研究しているところなので、また進展があれば報告したいと思う。
工場にサイバー攻撃、制御システム「汎用化」で危機
2013/7/4 7:00ニュースソース日本経済新聞 電子版「電力や水のような重要な社会インフラを提供する米国企業の制御システムを混乱させ、それを破壊するサイバー攻撃の危険性が高まっている」。米ワシントンポストは2013年5月9日、米政府配下の国土安全保障省が5月7日にこうした警告を発したと報じた。
同記事によると、米政府高官は、海外の敵対者がここ数カ月の間に、電気／水／化学のプラントを操作するコンピュータ―システムを調べているとし、破壊的なサイバー攻撃に対する懸念が高まっていると語ったという。しかも、敵対者の目的は、知的財産の搾取にとどまらず、制御プロセスの混乱・破壊へと拡大してきているとした。
制御システムへのサイバー攻撃としては、2010年9月にイランのナザンツにあるウラン燃料濃縮施設が「Stuxnet」と呼ばれるマルウエア（悪意のある不正なソフトウエア）によるサイバー攻撃を受けた事件が有名だ。
この攻撃では、Stuxnetはウランを濃縮する遠心分離機のスピードや状態を制御するシステムに干渉し、ウランの濃縮プロセスを妨害した、との専門家の分析もある。Stuxnetは、ドイツSiemens製の制御システムソフトウエアにあった「ゼロデイ脆弱性（未知の脆弱性）」を利用していたという。
■工業製品の工場も狙われる
2012年8月には、サウジアラビアの国営石油会社のAramcoがサイバー攻撃を受けている。ニューヨークタイムズの記事によれば、攻撃者が狙ったのは、製油／製ガス工程である。同工程を停止させることで、石油／ガス生産の混乱を狙ったという。ここで使われたのは、「Shamoon」というコンピューターウイルス。幸い、生産に混乱をきたすことはなかったが、同社内の約3万台のコンピューターに悪影響があり、Aramcoは内部の主要ネットワークを1週間以上遮断した。
制御システムのセキュリティーに詳しいVirtual Engineering Company（VEC）事務局局長の村上正志氏は、「世界的にはサイバー攻撃を使った犯罪組織が存在している」と打ち明ける。企業恐喝や株価操作などのために、制御システムを標的にしたサイバー攻撃が仕掛けられる懸念が高まってきているのだ。
さらに、村上氏はこう指摘する。「サイバー攻撃のためのツールを売買するサイトが存在し、高度な技術を持たなくても攻撃ができる時代がすでに到来している」（同氏）。こうした組織やサイトの存在が、工場などの制御システムが攻撃される懸念をより真実味のあるものにしている。
テロリストによる攻撃のように、社会の混乱を狙ったインフラへのサイバー攻撃は今後増えるだろう。しかし、一般的な工業製品を生産する企業の制御システムには無関係な話だ――。こうした考えは、もはや甘いと言わざるを得ない。
■5分ごとに攻撃を受けた日本企業
すでに日本でも、水面下では製造業に対するサイバー攻撃が増加している。VEC事務局の村上氏はこの半年で、日本企業から、サイバー攻撃に関する相談を20件近く受けたという。同氏によると、ある日本企業は、5分ごとにサイバー攻撃を受けていた。しかも、5分ごとに攻め口が新しいものに変わる。そのため、生産情報や生産レシピといった、新しい製品を造ったり製品を組み替えたりする際に必要な情報が入った業務用ネットワークを、制御システムから切り離さなければならなかった。
その結果、生産現場ではそれらの情報を手打ちで入力する必要に迫られた。社員の残業代が増えたために製造コストが上がり、採算が取れなくなったという。同社の担当者は、「この状態になんとか対処できないか」と村上氏に相談をもちかけたわけだ。
■生産停止に追い込むコンピューターウイルス
このように、サイバー攻撃は工場などで制御システムを稼働させている日本企業にとっても無関係とは言っていられない状況にある。しかも、サイバー攻撃に限定せずに、コンピューターウイルスによる被害にまで視点を広げると、その影響は大幅に拡大する。制御システムセキュリティセンター（CSSC）理事長で電気通信大学教授の新誠一氏よると、「いろんな工場で機器不良という理由で生産を何日か止めている。ソフトのバグか設定ミス、もしくはコンピューターウイルスによるものか分からないので、最初は機器不良による生産停止とされる。しかし、解析してみると、このうちのかなりの割合のものがコンピューターウイルスによるものだと判明している。これは今に始まったことではなく、数年前から続いている」。まさに、制御システムのセキュリティー対策は、喫緊の課題になっているのだ。
■ハードやOSの汎用化が背景
この背景には、制御システムにおけるハードウエアやOS（基本ソフト）の汎用化がある。かつて制御システムは、専用のハードウエアやOSで動いていた。ところが、近年は汎用のCPU（中央演算処理装置）ボードやOSを採用するケースが増えている。2000年を少し過ぎるころまでは、制御システムは外部のネットワークにつながっていなかったため、ウイルスが侵入するケースはほとんどなかった。しかし、その後に「USBメモリーが登場し、プログラムの入れ替えなど制御システムのメンテナンスに使われるようになったこと」や、「一部で制御システムを外部ネットワークに接続するようになったこと」で、一気にウイルス感染の危険性が高まったのである。
実際、経済産業省の2008年度の調査では、工作機械や半導体製造装置、各種産業機械などの製造装置を対象とする制御システムにおいて、全体の7割弱がUSBの取り付け口を、6割強がEthernetの接続ポートを備えている。さらに8割強がOSにWindows系を、2割弱がUNIX系を採用していることが明らかになっている。
また、米国土安全保障省の下部組織であるThe Industrial Control Systems Cyber Emergency Response Team （ICS-CERT）によると、インターネットを介してアクセス可能な「制御システムのヒューマン・マシン・インタフェース（HMI）と思われるもの」が、2012年の1年間で約7200件見つかっている。
■異常の発生は避けられない
こうした状況を受け、VECは2013年5月30〜31日に「第2回制御システム対策ソリューションカンファレンス」を開催した。そのなかで、ある講師は次のように語った。「攻撃者は攻撃対象とする制御システムのことを徹底的に調べている。だから、インシデント（事故よりは軽微な異常事象）の発生は避けられないかもしれない。ただ、被害を最小限に食い止めるための努力は不可欠である。制御システムのセキュリティー強化に努めておかないと、インシデントが発生したときに、（被害の影響範囲によっては）企業の社会的責任が問われる事態に発展する恐れがある」。
要するに、制御システムのセキュリティー強化は、企業の社会的責任として取り組まなければならない事項の1つになりつつあるのだ。
■対策ソフトや侵入検知システムを導入
では、企業は制御システムのセキュリティーをどう強化すればいいのか。前述のカンファレンスで、マカフィーのサイバー戦略室兼グローバル・ガバメント・リレイションズシニア・セキュリティ・アドバイザーの佐々木弘志氏は、今できる対策として、以下の3つを挙げた。第一に、ホワイトリスト型セキュリティー対策ソフトの導入。これは、当該システムで使用するプログラムをあらかじめリストとして登録しておき、そのリストに登録されたプログラムのみ、稼働を許可するセキュリティー対策ソフトのことである。
パターンファイル（定義ファイル）と呼ばれる不正プログラムのリストを使う一般的なセキュリティー対策ソフト（ブラックリスト型セキュリティー対策ソフト）と違って、パターンファイルを日常的に更新する必要がない、ハードウエアに高い負荷を与える不正プログラムのスキャンが不要、という点が特徴である。
「PLC（Programmable Logic Controller）」や「DCS（Distributed Control System）」といったコントローラの管理に使っているパソコンなど制御端末にインストールして使う。
第二に、「侵入検知システム（IDS：Intrusion Detection System）」のようなネットワークを監視する仕組みの適用だ。ここでの監視対象は、PLCやDCSといった制御システムコントローラと管理用パソコンの間のネットワーク、および同コントローラと現場の制御機器の間のネットワークだ。IDSでこれらのネットワークを流れるパケットを監視して、不正アクセスと思われるパケットを検知する。
■制御システムの状況を「見える化」
第三に、状況認識（見える化）のための仕組みの採用だ。制御システム全体のログやイベントなどの情報を収集しても、それだけでは何の役にも立たない。実際に、それを分析して「見える化」しないと次のアクションにはつなげられない。そこで役に立つのが、「SIEM（System Information and Event Management）」システムと呼ばれる制御システム全体の状況を見える化する仕組みだ。同システムは、収集したログやイベントなどの情報を相関分析することで、サイバー攻撃の兆候を早期に察知して対策を講じることを可能にする。
ただ、SIEMシステムは一般に、PLCやDCSと現場の制御機器の間で使用しているプロトコル（通信手順）に対応していない。このため、PLCやDCSで管理している温度や圧力などのデータのログを収集することができない。そこで、佐々木氏が推奨しているのが、制御系のログ収集システムとの併用だ。制御系のログをSIEMシステムに取り込むことで、制御情報系と制御系の双方において状況の見える化を実現できるようになる。
■制御機器のセキュリティー検証設備が完成
もっとも、こうした取り組みは入り口にすぎない。例えば、ユーザー側では「USBメモリーはセキュリティー機能付きのものを使う。あるいは、使い捨てにして1度使ったUSBメモリーは使わない」（VEC事務局の村上氏）など、制御システムの運用面に関わる現場の意識改革も必要である。長期的には、制御機器や産業用ネットワークをよりセキュリティーレベルの高いものに切り替えることや、制御システムのセキュリティーレベルをゾーンごとに適正化するなどの対策が求められる可能性がある。制御機器や産業用ネットワークを提供するベンダーにとっては、よりセキュリティーを強化したものを提供することが必要になってくると考えられる。
制御機器のセキュリティー強化という点では、2013年5月28日に開設された、CSSCの東北多賀城本部が貢献しそうだ。CSSC理事長の新氏、およびCSSC総括理事で産業総合研究所セキュアシステム研究部門長の松井俊浩氏によると、企業が持ち込んだ制御機器の安全性をテストして検証する機能を同本部内に設けたという。
検証対象の機器に対して攻撃を仕掛けるスキルを持つ人材、どういう手順で攻撃するかのマニュアル、検証のために必要な設備の3点をそろえたという（図3）。制御機器（デバイス）のメーカーは、それを同組合に持ち込むことで、セキュリティー上の脆弱性の有無をチェックできるとしている。
新氏によると、CSSCはISA Security Compliance Institute（ISCI）が運営する制御機器（組み込み機器）のセキュリティー保証に関する認証制度「EDSA」（Embedded Device Security Assurance）のパイロット認証を2013年度から開始したという。これは、経済産業省の支援を受けてCSSCが手掛け始めた事業だ。既に3社からの応募があり、同本部に持ち込んだ機器が攻撃に耐えられるかを試験している。
さらにCSCCは、制御機器のセキュリティー保障に関する独自の認証制度「CSSC認証」を2014年3月もしくは同4月に開始する予定という。同氏によれば、CSSC認証は国際認証と相互認証に進んでいくという覚書を交わしている。これが実行に移されれば、制御機器のセキュリティーに関する国際認証を日本国内で取得できるようになる。
（Tech-On！ 富岡恒憲）
［Tech-On！2013年６月12日の記事を基に再構成］
